2008, när patientdatalagen infördes, utökades möjligheterna att skapa sammanhållna elektroniska journaler som delas mellan flera vårdgivare. Samtidigt skärptes kraven på vårdgivare att systematiskt kolla loggar för att upptäcka obehöriga intrång i journalerna.
Tillsynsmyndigheten, Datainspektionen, har dock i samband med inspektioner konstaterat att många vårdgivare saknat eller haft en bristfällig logguppföljning.
– Förr gjorde man stickprov eller sökte på kända efternamn för att man sett att nyfikenheten varit större i sådana fall. Men skyddet ska inte vara olika beroende på om jag heter Anna Lindh eller Anders Svensson, säger Håkan Nordgren, chef för arkitektur och regelverk på Center för eHälsa i samverkan, som koordinerar landstingens arbete med IT i vården.
Stickprovsmodellen liknar Håkan Nordgren vid att kasta pil på en lista med alla loggposter i rad. Men nu inför allt fler vårdgivare automatiska system som letar efter avvikelser från de väntade mönstren. Ett landsting som skärpt rutinerna är Stockholms läns landsting. 2009 kritiserade Datainspektionen Karolinska sjukhuset för att ha en alltför begränsad loggkontroll för att det skulle ha någon avhållande effekt mot otillbörliga intrång. Man uppmanade vårdgivaren att utveckla sina urvalskriterier och införa automatiska analysfunktioner.
Sedan förra våren håller landstinget på att införa ett särskilt verktyg i journalsystemet Take Care som automatiskt letar efter misstänkta dataintrång. Varje månad kollas tio procent av alla journalöppningar.
Systemet används i dag i Stockholms läns sjukvårdsområde, SLSO. Inom kort börjar det införas på Karolinska universitetssjukhuset.
– Systemet letar efter atypiska öppningar, till exempel om patienten är vuxen fast den anställde arbetar på BUP, om man varit inne i sin egen journal eller i en journal som tillhör en annan anställd eller om det inte skett någon dokumentation i samband med öppningen. Ju fler avvikelser, desto större anledning att titta närmare på fallet, på säger Gurra Borssén, systemförvaltare på SLSO.
Vårdgivarna är skyldiga att informera personaler om vilka lagar och regler som gäller för tillgången till patientuppgifter, och Håkan Nordgren, som är läkare och jobbar kliniskt på deltid, menar att det generellt finns en stor medvetenhet bland vårdpersonal om vad man får göra och inte.
– Men det finns fortfarande vårdpersonal som till exempel tror att man har rätt att titta i ett eget barns eller en förälders journal, vilket man inte alls har.
